Profesionales de la ciberseguridad están siendo blanco de proyectos maliciosos en GitHub que instalan puertas traseras y robores de información. La campaña, que ya ha comprometido a más de 2,000 sistemas Windows, utiliza scripts falsos de seguridad y técnicas de evasión avanzadas para desactivar antivirus. Finalmente, el ataque despliega malware como AsyncRAT para robar datos sensibles y activos de criptomonedas.

Se ha detectado un nuevo malware para Windows llamado VOLTA, un infostealer que no solo roba contraseñas de cuentas como Gmail y Discord, sino que utiliza un modelo de IA para analizar la información robada y generar un informe detallado sobre el valor económico de la víctima.

Se ha detectado un creador de malware basado en Python que permite convertir un solo programa espía en múltiples aplicaciones de Windows para distintos atacantes. Esta herramienta empaqueta una carga útil diseñada para robar contraseñas guardadas, detalles de tarjetas de pago y cookies de 17 navegadores diferentes, enviando la información a un webhook controlado por el operador. Además, su capacidad de robo se extiende a cuentas de mensajería y contraseñas de redes inalámbricas.

El malware de tipo infostealer está permitiendo que los criminales accedan a entornos corporativos en la nube de forma más discreta. En lugar de intentar vulnerar el perímetro de seguridad, infectan los dispositivos de empleados o desarrolladores para robar credenciales, claves API y sesiones activas que ya cuentan con la confianza de la organización. Estas infecciones iniciales suelen ocurrir a través de phishing, descargas engañosas o paquetes maliciosos.

Investigadores detectaron una nueva versión de PamStealer para macOS que utiliza un sitio falso de billeteras de criptomonedas llamado Wavel para infectar usuarios. Esta variante emplea un sistema de cifrado avanzado que requiere comunicación con el servidor para liberar la carga útil, dificultando el análisis estático. El malware, escrito en Swift, roba contraseñas del sistema, datos de llaveros y credenciales de una amplia variedad de navegadores web.

Una campaña de malware utiliza repositorios falsos de GitHub, optimizados con SEO, para suplantar a empresas como LastPass y distribuir el infostealer "Rapuncel". El ataque emplea un controlador de kernel firmado por Microsoft para desactivar hasta 145 antivirus y EDR, permitiendo el robo de credenciales, billeteras de criptomonedas y capturas de pantalla. Se recomienda a los usuarios descargar software únicamente desde sitios oficiales y evitar enlaces sospechosos en los resultados de búsqueda.

Desde mediados de 2025, una operación brasileña utiliza el toolkit KREMLIN para instalar extensiones maliciosas en Chrome y Edge que roban credenciales y datos sensibles sin consentimiento del usuario. El ataque comienza con archivos JavaScript disfrazados de documentos bancarios y emplea contratos inteligentes de Ethereum para gestionar sus cargas útiles. Elastic Security Labs ha identificado más de 1,500 sistemas infectados, principalmente en Brasil, y logró interrumpir la campaña mediante el registro de un dominio estratégico.

Se reportan diversas vulnerabilidades de seguridad, incluyendo ataques a GitLab y RubyGems, y la eliminación de contraseñas en el gobierno del Reino Unido. Destaca la campaña PasteSwitch, que comprometió la cuenta oficial de HBO Max en Reddit para difundir anuncios maliciosos. Estos engañaban a usuarios de Windows y macOS para instalar malware diseñado para robar información y criptomonedas.

Investigadores detectaron StubMaker, una campaña de typosquatting en RubyGems que distribuye un malware para Windows. Este programa roba credenciales de navegadores, billeteras de criptomonedas y datos de Telegram mediante paquetes con nombres similares a dependencias populares. Aunque los paquetes ya fueron eliminados, el ataque aprovechó fallos de diseño en la plataforma para reutilizar nombres de paquetes.

Se ha identificado un nuevo malware para macOS llamado AmnesiaStealer, el cual se distribuye a través de una página de descarga de GitHub falsa. Este engaña a los usuarios para que ejecuten un comando malicioso en la Terminal, lo que permite la instalación silenciosa del software y otorga a los atacantes el control remoto y oculto de las sesiones del navegador de la víctima. El fraude fue detectado por los investigadores de Jamf Threat Labs.

Se ha detectado un malware basado en Go que afecta a usuarios de macOS a través de ataques "ClickFix", robando contraseñas, datos de Apple Keychain y criptomonedas. El software puede vaciar billeteras digitales o desviar porcentajes específicos de las transacciones hacia el atacante. La infraestructura utilizada estaría vinculada a una corporación rusa sancionada por brindar servicios de hosting a grupos de ransomware.

El malware de tipo infostealer se ha convertido en el recurso de acceso inicial más crítico en la economía del cibercrimen. Actualmente, ha sustituido al phishing tradicional y a las intrusiones basadas en exploits como el principal precursor de los ataques de ransomware y brechas en empresas. En lugar de vulnerar redes directamente, los atacantes ahora compran "registros de robo" (stealer logs) que contienen credenciales válidas, cookies de sesión y tokens SSO para acceder a los sistemas.

Ciberdelincuentes están distribuyendo ladrones de información sofisticados para computadoras Windows mediante descargas falsas de juegos, mods y cracks. Estas campañas engañan a los usuarios con software gratuito o difícil de encontrar; aunque el archivo parezca inofensivo o muestre una pantalla de instalación, en segundo plano el malware actúa para robar contraseñas y monederos de criptomonedas.

Rapid7 descubrió la infraestructura de un operador de malware que utilizaba inteligencia artificial generativa para automatizar la creación, prueba y documentación de ataques de phishing. El atacante explotó vulnerabilidades de WebDAV para distribuir infostealers, enfocando una campaña masiva contra usuarios en México mediante sitios falsos de trámites gubernamentales. Este caso destaca cómo los criminales emplean herramientas de IA para operar con la eficiencia de un equipo de desarrollo de software moderno.

CrashStealer es un programa malicioso diseñado para macOS, escrito en C++, que se hace pasar por la herramienta de informes de errores de Apple. Su objetivo es robar credenciales de navegadores, billeteras de criptomonedas, gestores de contraseñas y contenidos del llavero, para luego cifrar la información y enviarla a un servidor remoto. Jamf detectó la primera muestra sospechosa en VirusTotal a principios de mayo de 2026.

Investigadores detectaron VEIL#DROP, una cadena de ataque que usa ingeniería social y páginas de Blogger para instalar el malware PureLogs. El proceso comienza con archivos JavaScript disfrazados de PDF que ejecutan scripts de PowerShell para evadir defensas y cargar el código en memoria. Finalmente, utiliza binarios legítimos de Microsoft para robar datos sensibles mientras permanece indetectable para los antivirus.

Investigadores detectaron paquetes maliciosos de npm y Go que utilizan tareas automatizadas de VS Code y archivos de fuentes falsos para infectar sistemas. Esta campaña, atribuida a Corea del Norte, despliega un backdoor y un programa en Python diseñado para robar credenciales, billeteras de criptomonedas y datos de desarrolladores. Se recomienda eliminar los paquetes afectados y cambiar todas las contraseñas y tokens de seguridad inmediatamente.

Se ha detectado un nuevo cargador de malware llamado GoFlateLoader, desarrollado en el lenguaje de programación Go. Este software destaca por su efectividad al utilizar un truco sencillo para decodificar e instalar programas peligrosos diseñados para el robo de información en los equipos de sus víctimas.

Cibercriminales están aprovechando el interés por las herramientas de IA mediante el uso de envenenamiento SEO para posicionar páginas falsas de instalación de Claude Code en los primeros resultados de búsqueda. El objetivo de esta campaña es engañar a los usuarios para que visiten un sitio fraudulentamente similar al de Anthropic y así robar sus credenciales mediante la descarga de un infostealer de .NET sin archivos.

Un nuevo malware llamado IronWorm ha infectado 36 paquetes de npm para robar credenciales de AWS, OpenAI y billeteras de criptomonedas. Escrito en Rust, el programa se autopropaga robando claves de publicación para comprometer otros paquetes y entornos de desarrollo. Expertos recomiendan actualizar los paquetes afectados, rotar claves y activar la autenticación de dos factores (2FA).